Abo
  • IT-Karriere:

Windows, Apple und fast alle Access Points betroffen

Der Entdecker der Sicherheitslücken schreibt darüber hinaus, dass sowohl die Implementierungen von Windows als auch von Apples Betriebssystemen angreifbar sind. Noch gibt es von Microsoft und Apple  keine weitergehenden Informationen hierzu, unterstützte Windows-Versionen sollen jedoch am vergangenen Patchday bereits ein Update bekommen haben. Auch Apple hat entsprechende Patches verteilt, bislang allerdings nur für die Beta-Versionen der Betriebssysteme.

Stellenmarkt
  1. DATAGROUP Köln GmbH, Köln
  2. Porsche Consulting GmbH, Stuttgart, Berlin, Frankfurt am Main, Hamburg, München

Ebenfalls betroffen war auch das auf Sicherheit fokussierte OpenBSD. Der OpenBSD-Gründer Theo de Raadt hat sich aber aus prinzipiellen Erwägungen heraus dazu entschlossen, das Embargo nicht einzuhalten und die Patches stattdessen direkt einzupflegen. Dies ist als sogenanntes Silent-Update geschehen, also ohne explizite Ankündigung.

Access Points bekommen eventuell Updates

Zusätzlich zu dem für Linux-Clients genutzten wpa_supplicant ist auch die unter Linux für Access Points genutzte hostapd unter bestimmten Umständen angreifbar. Betroffen davon seien "praktisch alle Versionen, die eine vollständige FT-Implementierung enthalten". Als Workaround könnten Admins hier zwar die FT-Unterstützung zu Laufzeit abschalten, Clients können dann jedoch nicht mehr schnell zwischen mehreren Access-Points wechseln. Darüber hinaus sind außerdem sämtliche Versionen von hostapd für einen weiteren Angriff durch Clients über den sogenannten Authenticator verwundbar.

Die Patches für hostapd werden ebenfalls über die Linux-Distributoren verteilt. Darüber hinaus stellen bereits erste Hersteller von Access Points Updates für ihre Systeme bereit. Dazu gehört etwa Aruba Networks, Aktualisierungen von Ubiquiti sollten ebenso in Kürze zur Verfügung stehen.

Der Fritzbox-Hersteller AVM hat ebenfalls Updates versprochen - "Falls notwendig" - was der Fall sein dürfte. Auch die Community-Hacker von Openwrt haben die Patches bereits in ihre Distribution aufgenommen, sodass hier Updates auch schnell verfügbar sein sollten.

Verwundbar sind darüber hinaus laut den Sicherheitsforschern außerdem die WLAN-Implementierungen von Mediatek und Linksys. Diese Liste lässt sich wahrscheinlich auch auf Broadcom, TP-Link und viele weitere Hersteller erweitern. Ob und wann hier Aktualisierungen bereitstehen, hängt wohl sehr von dem gewählten Hersteller sowie der Preisklasse der eingesetzten Geräte ab. Das US-Cert hat eine vollständige Liste der Hersteller veröffentlicht, die über die Lücken informiert worden sind.

Die Angriffe zeigen, dass WPA2 beschädigt ist, aber nicht grundlegend gebrochen. Eine sichere Implementierung des derzeitigen Standards ist also möglich. Auch können gegen die Sicherheitslücke gepatchte Geräte weiterhin mit ungepatchten Geräten kommunizieren. WPA3, so Vanhoef, brauche es also derzeit nicht.

Für die Sicherheitslücken sind folgende CVE-Nummer vergeben worden: CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088.

Nachtrag vom 17. Oktober 2017, 10:16 Uhr

Die folgenden Unternehmen haben sich zu Krack geäußert, die Liste wird laufend aktualisiert:

 Bei Android 6 ist es besonders schlimm
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Top-Angebote
  1. (u. a. 20% auf ausgewählte Monitore)
  2. (u. a. Sennheiser HD 4.50R für 99€)
  3. (u. a. GRID - Day One Edition (2019) für 27,99€ und Hunt Showdown für 26,99€)
  4. (aktuell u. a. Corsair GLAIVE RGB als neuwertiger Outlet-Artikel für 32,99€ + Versand)

Truster 23. Okt 2017

Keine Ahnung, ich mach's einfach. Ich bin aber auch kein Großer Spieler. Mein letztes...

Anonymer Nutzer 19. Okt 2017

Na ja, komplett fehlt der Service nicht - aber besonders lange gibt es die Firmware...

Isodome 18. Okt 2017

Zur eigenen Fritzbox ist ein VPN natürlich sicher. Aber was dann? A) du willst auf dein...

bombinho 18. Okt 2017

Ja, aber ... - wann hast Du zuletzt geschaut? - welches ist das Richtige? - der Client...

bombinho 18. Okt 2017

Die meisten Hersteller haben ihre Patches fuer Mitte November angekuendigt.


Folgen Sie uns
       


Nintendo Switch Lite - Test

Die Nintendo Switch Lite sieht aus wie eine Switch, ist aber kompakter, leichter und damit gerade unterwegs eine sinnvolle Wahl - trotz einiger fehlender Funktionen.

Nintendo Switch Lite - Test Video aufrufen
Atari Portfolio im Retrotest: Endlich können wir unterwegs arbeiten!
Atari Portfolio im Retrotest
Endlich können wir unterwegs arbeiten!

Ende der 1980er Jahre waren tragbare PCs nicht gerade handlich, der Portfolio von Atari war eine willkommene Ausnahme: Der erste Palmtop-Computer der Welt war klein, leicht und weitestgehend DOS-kompatibel - ideal für Geschäftsreisende aus dem Jahr 1989 und Nerds aus dem Jahr 2019.
Ein Test von Tobias Költzsch

  1. Retrokonsole Hauptverantwortlicher des Atari VCS schmeißt hin

Alexa: Das allgegenwärtige Ohr Amazons
Alexa
Das allgegenwärtige Ohr Amazons

Die kürzlich angekündigten Echo-Produkte bringen Amazons Sprachassistentin Alexa auf die Straße und damit Datenschutzprobleme in die U-Bahn oder in bisher Alexa-freie Wohnzimmer. Mehrere Landesdatenschutzbeauftragte haben Golem.de erklärt, ob und wie die Geräte eingesetzt werden dürfen.
Von Moritz Tremmel

  1. Digitaler Assistent Amazon bringt neue Funktionen für Alexa
  2. Echo Frames und Echo Loop Amazon zeigt eine Brille und einen Ring mit Alexa
  3. Alexa Answers Nutzer smarter Lautsprecher sollen Alexa Wissen beibringen

Linux-Kernel: Selbst Google ist unfähig, Android zu pflegen
Linux-Kernel
Selbst Google ist unfähig, Android zu pflegen

Bisher gilt Google als positive Ausnahme von der schlechten Update-Politik im Android-Ökosystem. Doch eine aktuelle Sicherheitslücke zeigt, dass auch Google die Updates nicht im Griff hat. Das ist selbst verschuldet und könnte vermieden werden.
Ein IMHO von Sebastian Grüner

  1. Kernel Linux bekommt Unterstützung für USB 4
  2. Kernel Vorschau auf Linux 5.4 bringt viele Security-Funktionen
  3. Linux Lockdown-Patches im Kernel aufgenommen

    •  /